Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\attrib.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\2-0
- %TEMP%\lylbtc7b\fehs8.tmp
- %TEMP%\lylbtc7b\_files\_allforms_list.txt
- %TEMP%\lylbtc7b\files_\forms.txt
- %TEMP%\lylbtc7b\c5jmn.tmp-shm
- %TEMP%\lylbtc7b\_files\_cookies\mozilla_firefox.txt
- %TEMP%\lylbtc7b\files_\cookies\mozilla_firefox.txt
- %TEMP%\lylbtc7b\_files\_screen_desktop.jpeg
- %TEMP%\lylbtc7b\files_\cookies\opera.txt
- %TEMP%\lylbtc7b\c5jmn.tmp
- %TEMP%\lylbtc7b\_files\_information.txt
- %TEMP%\lylbtc7b\rkpsltrwmyelxr.zip
- %TEMP%\lylbtc7b\rivscflu6.zip
- %TEMP%\file.exe
- %TEMP%\ixp001.tmp\9-9
- %TEMP%\ixp001.tmp\1-4
- %TEMP%\ixp001.tmp\5-1
- %TEMP%\ixp001.tmp\2-71
- %TEMP%\lylbtc7b\files_\screenshot.jpg
- %TEMP%\lylbtc7b\files_\system_info.txt
- %TEMP%\lylbtc7b\_files\_cookies\opera.txt
- %TEMP%\lylbtc7b\nt5z.tmp
- %TEMP%\lylbtc7b\i6etwl.tmp
- %TEMP%\ixp000.tmp\5-18
- %TEMP%\ixp000.tmp\6-0
- %TEMP%\ixp000.tmp\services.com
- %TEMP%\ixp000.tmp\g
- %TEMP%\lylbtc7b\3kwmpt.tmp
- %TEMP%\lylbtc7b\7qdzjl.tmp
- %TEMP%\lylbtc7b\mj6xmc.tmp
- %TEMP%\lylbtc7b\rulus.tmp
- %TEMP%\ixp000.tmp\4-6
- %TEMP%\lylbtc7b\twlz.tmp
- %TEMP%\lylbtc7b\nejucm.tmp
- %TEMP%\lylbtc7b\1m1or.tmp
- %TEMP%\lylbtc7b\yypwaa.tmp
- %TEMP%\lylbtc7b\_files\_cookies\google_chrome.txt
- %TEMP%\lylbtc7b\files_\cookies\google_chrome.txt
- %TEMP%\lylbtc7b\_files\_allcookies_list.txt
- %TEMP%\lylbtc7b\files_\cookies.txt
- %TEMP%\lylbtc7b\v4zuk6.tmp
- %TEMP%\lylbtc7b\kesfc.tmp
- %TEMP%\ixp001.tmp\explorer.com
- %TEMP%\ixp001.tmp\g
Удаляет следующие файлы
- %TEMP%\ixp000.tmp\g
- %TEMP%\ixp001.tmp\1-4
- %TEMP%\ixp001.tmp\2-71
- %TEMP%\ixp001.tmp\5-1
- %TEMP%\ixp001.tmp\g
- %TEMP%\lylbtc7b\_files\_cookies\opera.txt
- %TEMP%\lylbtc7b\yypwaa.tmp
- %TEMP%\lylbtc7b\v4zuk6.tmp
- %TEMP%\lylbtc7b\twlz.tmp
- %TEMP%\lylbtc7b\rulus.tmp
- %TEMP%\lylbtc7b\nt5z.tmp
- %TEMP%\lylbtc7b\nejucm.tmp
- %TEMP%\lylbtc7b\mj6xmc.tmp
- %TEMP%\lylbtc7b\kesfc.tmp
- %TEMP%\ixp001.tmp\9-9
- %TEMP%\lylbtc7b\i6etwl.tmp
- %TEMP%\lylbtc7b\files_\cookies.txt
- %TEMP%\lylbtc7b\files_\cookies\opera.txt
- %TEMP%\lylbtc7b\fehs8.tmp
- %TEMP%\lylbtc7b\c5jmn.tmp
- %TEMP%\lylbtc7b\7qdzjl.tmp
- %TEMP%\lylbtc7b\3kwmpt.tmp
- %TEMP%\lylbtc7b\1m1or.tmp
- %TEMP%\lylbtc7b\c5jmn.tmp-shm
- %TEMP%\ixp000.tmp\services.com
- %TEMP%\ixp000.tmp\2-0
- %TEMP%\ixp000.tmp\4-6
- %TEMP%\ixp000.tmp\6-0
- %TEMP%\ixp000.tmp\5-18
- %TEMP%\lylbtc7b\files_\forms.txt
- %TEMP%\ixp001.tmp\explorer.com
Сетевая активность
TCP
Запросы HTTP GET
- http://fr###oad05.top/download.php?fi#########
- http://fr###oad05.top/downfiles/lm.exe
Запросы HTTP POST
- http://ki###add06.top/index.php
- http://mo###twoo04.top/index.php
UDP
- DNS ASK eC##o.eCiho
- DNS ASK mM#######yrxyI.mMHGwLsrYyrxyI
- DNS ASK ki###add06.top
- DNS ASK mo###twoo04.top
- DNS ASK fr###oad05.top
- DNS ASK Rt##.RtFa
- DNS ASK hh.hh
Другое
Создает и запускает на исполнение
- '%TEMP%\ixp000.tmp\services.com' g
- '%TEMP%\file.exe'
- '%TEMP%\ixp001.tmp\explorer.com' g
- '%WINDIR%\syswow64\cmd.exe' /c cmd < 6-0' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\lYlBtc7b & timeout 2 & del /f /q "%WINDIR%\SysWOW64\attrib.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cmd < 2-71' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c cmd < 6-0
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\ping.exe' -n 1 eCiho.eCiho
- '%WINDIR%\syswow64\certutil.exe' -decode 4-6 g
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
- '%WINDIR%\syswow64\attrib.exe'
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\lYlBtc7b & timeout 2 & del /f /q "%WINDIR%\SysWOW64\attrib.exe"
- '%WINDIR%\syswow64\cmd.exe' /c cmd < 2-71
- '%WINDIR%\syswow64\timeout.exe' 2
- '%WINDIR%\syswow64\ping.exe' -n 1 RtFa.RtFa
- '%WINDIR%\syswow64\certutil.exe' -decode 1-4 g
